Docker容器访问/dev/video0权限异常导致RTSP服务启动失败排查

问题结论 #

容器启动时无法正常使用/dev/video0设备，核心原因是权限不足，普通用户myuser没有访问宿主机挂载的/dev/video0的权限。

原因拆解 #

1. Dockerfile中RUN chown myuser:mygroup -R /dev是在镜像构建阶段执行的，但运行容器时通过--volume=/dev:/dev挂载了宿主机的/dev目录，这会完全覆盖镜像内的/dev结构，所以构建时的权限修改完全无效。
2. 宿主机的/dev/video0设备通常属于video用户组，而容器内的myuser不在这个组中，即使使用--privileged参数，普通用户依然没有对应权限。

解决方案 #

方案1：让容器用户加入宿主机video组（推荐） #

宿主机的/dev/video0一般归属于video组，只需让容器内的myuser加入同GID的组即可：

1. 先查看宿主机video组的GID：

   getent group video
   

   输出类似video:x:44:，其中44就是GID。
2. 修改Dockerfile中创建用户的命令，指定GID与宿主机一致：

   # 替换原来的用户创建命令
   RUN addgroup -S -g 44 mygroup && adduser -S myuser -G mygroup
   

   或者无需修改Dockerfile，运行容器时直接添加组：

   docker run --rm -it \
     --volume=/dev:/dev \
     -p 8554:8554 \
     --group-add $(getent group video | cut -d: -f3) \
     test_base:latest
   

   此方案无需使用--privileged，更安全。

方案2：临时放宽设备权限（仅测试用） #

在宿主机上直接修改/dev/video0的权限，让所有用户都能读写：

sudo chmod 666 /dev/video0

⚠️ 注意：此方法会降低系统安全性，仅适合临时测试，不推荐生产环境使用。

方案3：容器内动态修改设备权限（需特权模式） #

如果必须保持现有Dockerfile结构，可修改ENTRYPOINT，在启动时先修改设备权限再切换用户：

# 替换原来的ENTRYPOINT
ENTRYPOINT ["sh", "-c", "chown myuser:mygroup /dev/video0 && exec /usr/bin/gst-rtsp-launch $0 $@"]

运行容器时仍需保留--privileged参数，因为需要修改挂载设备的权限。

内容的提问来源于stack exchange，提问作者jakeE